# AI合同平台：战略纠偏与持续开发总体规划

- 文档编号：`YQ-DEV-MASTER-20261008`
- 版本：`v1.0`
- 制定日期：`2026-10-08`
- 状态：`ACTIVE_PLANNING_BASELINE`，作为后续需求取舍、研发拆解和验收的统一规划入口。
- 适用产品：钰麒合同及其合同平台、AI平台、Python SDK和基础设施四个现有工程。
- 制定依据：用户要求将战略、市场、运营与源码评估落成完整开发方案，后续开发按本方案执行。
- 文档性质：开发与经营协同规划，不是上线收据、法律意见、风险接受记录或生产操作授权。
- 本次交付边界：编制本规划及仓库阅读入口；未实施本规划中的产品功能，未运行模型、迁移、部署、发布或切流。

> **最重要的执行规则**：保留既有架构和完整多场景交付，停止以功能数量代替客户价值。先完成当前获批发布收口，再按真实客户结果、专业质量和单位经济选择后续迭代。本规划不得成为扩大当前冻结候选、削减验收范围或开放注册的理由。

## 目录

1. 文档权威、适用边界与维护方式
2. 制定时的事实基线及证据限制
3. 产品定位、客户分层与价值主张
4. 开发原则、优先级和停止规则
5. 当前收口与后续研发的条件式路线
6. 产品旅程、公开入口和体验方案
7. 内容资产、AI质量与专业信任方案
8. 产品指标、事件契约与商业验证方案
9. 完整成本、免费边界与商业化方案
10. 客户成功、失败接管与市场运营方案
11. 技术架构、数据归属与接口演进方案
12. 身份权限、隐私与服务安全要求
13. 测试、迁移、发布与证据管理
14. 可执行工作包与验收标准
15. 工作排序、依赖与并行安排
16. 人员责任与外部输入
17. 开发任务卡、完成定义与变更控制
18. 风险清单与路线调整机制
19. 执行状态表与首个必要动作
20. 依据与源码入口

---

## 一、文档权威、适用边界与维护方式

### 1.1 与现有文件的关系

| 文件或记录 | 负责的事项 | 本规划不得替代的内容 |
| --- | --- | --- |
| `AGENTS.md`、`README.md`中的强制交付政策 | 仓库工作规则、安全底线、当前范围冻结和操作授权 | 生产权限、冻结规则、证据真实性与用户改动保护 |
| 《后期上线任务规划与执行总表》及其机器台账 | 当前`BUILD`、`RC05`至`RC08`的任务依赖、候选身份、实际状态和下一任务 | 不另建当前RC状态台账，不更改既有正式候选 |
| 《生产上线加速与开发效率整改方案》 | 分层验证、工作树隔离、止损和任务终点 | 不以“长期规划”为名恢复无限阶段和重复认证 |
| 《多场景完整交付与开发收口方案》 | 本次60资产、14模块、144场景及适用业务旅程 | 不缩成采购单场景，不删除失败资产或三类用户 |
| 本规划 | 持续研发定位、需求准入、后续工作包、商业验证和验收口径 | 不自动授予部署、迁移、真实数据使用、收费或切流权限 |
| 更早的品牌、市场、架构和专项报告 | 历史依据、已完成实现和未验证假设 | 不将历史问题直接认定为当前缺陷，不将旧建议自动重新立项 |

执行前出现冲突时，必须指出冲突及影响，按现有发布政策和具名责任人的有效决定处理；不得仅依据文档日期、文件名或某个自报`PASSED`选择有利结论。

### 1.2 当前范围冻结继续有效

当前RC收口仍只有以下主线：

`FREEZE → BUILD → RC05-RUN → RC06-UAT → RC07-RECOVERY → RC08-PRODUCTION`

固定交付基线：

- 60个现有模板/文书资产，不收缩为单一市场场景。
- 14个Prompt模块，按既定职责、组合、路由和在线运行快照验收。
- 144个正式评测场景；RC05/W4模型质量评测遵循既有280次全局调用规则，历史调用不归零。RC06/W5须按既有计划另核可复用证据、新增调用和授权预算，不得暗中扩额或以评测候选替代普通成员旅程。
- 8个核心UI旅程及全部资产的适用正常API旅程。
- 个人、企业、律师事务所三类用户，沿用共用工作区、权限和业务基础能力。
- 法律文书按`document_kind`使用适用流程，不强套双边合同签署、履约或撤回。

范围冻结只有在发布负责人记录本轮正式完成并更新基线后才结束。内部某项测试通过、某个工作树合并或某个业务负责人同意试点，均不能自行解除。

### 1.3 三种边界必须分开

1. **规划有效**：后续开发按本规划进行取舍与验收。
2. **任务可执行**：该任务的依赖、文件归属、人员、预算和权限已齐备。
3. **服务可放行**：对应环境、数据和用户范围具有有效发布决定。

三者不能互相替代。编制本规划不意味着其中所有工作包都已获准开工，更不意味着可以接触真实客户合同或生产系统。

### 1.4 维护方式

- 长期方向和任务验收只在本文件维护；小修不另写新的总体规划或TP阶段报告。
- 当前RC状态仍只更新现有机器台账及必要控制摘要，本文件只引用它。
- 后续工作包状态在第十九节维护；详细任务可以进入现有任务系统，但必须携带本规划ID并回链，不另建第二份权威状态源。
- 原始访谈、合同材料、模型输出、JUnit、账单及诊断保存在经授权的仓外受控存储。源码只保留必要脱敏摘要、索引和哈希。
- 与用户、价格、质量或数据处理有关的实质变化必须更新本文件版本和决策记录，不静默改变口径。
- 本文件是冻结后规划材料，不能声称已包含在旧tag、旧manifest或旧候选归档中。

## 二、制定时的事实基线及证据限制

### 2.1 只读观察快照

以下是制定日读取到的状态，不是新的发布判断；以后执行必须重新读取权威台账和相应收据。

| 事项 | 2026-10-08制定时观察 | 使用边界 |
| --- | --- | --- |
| 主工作目录HEAD | `d405c1ba659b2050459fe4ba5f584acbb9b4d60a` | 不等于正式冻结候选，不从脏工作树生成正式证据 |
| README登记候选 | `5f4f0d7f64e3a6ff7d62fdbd252da3ffe6fb0035` / `v2-multiscene-rc04-20260921.3` | 候选更新须由正式记录确认，不能按分支最新提交猜测 |
| RC机器台账更新时间 | `2026-09-27T01:45:58+08:00` | 是已读取台账的最后更新时间，不证明此后没有其他活动 |
| 台账唯一下一任务 | `BUILD-05`，`IN_PROGRESS` | Markdown总表中的`READY/尚未开始`摘要落后于机器记录 |
| 最近登记的整改 | Attempt 004，获批P1受控整改；替代候选尚未登记冻结 | 后续分支存在提交，不等于已获得候选晋级或下游授权 |
| 内部受控试点、公众开放 | 该台账均为`NO_GO` | 没有对应真实有效证据和批准不得改判 |
| 用户已有改动 | `README.md`、`docs/architecture/local-development.md`、`start-dev.ps1`等 | 本规划不覆盖、清理或擅自提交这些改动 |

最近登记的BUILD-05阻断包括基础设施离线导入材料、前序包/首次发布回退条件、外部签署备份与兼容性材料、第三方许可证分发材料。已有具名决定允许相应P1整改及首次发布安装前快照恢复模式；不得再要求伪造前序包，也不得把该整改决定当作生产迁移或恢复授权。

### 2.2 已有能力与“不得重建”清单

| 能力 | 已读材料与源码显示 | 后续工作原则 |
| --- | --- | --- |
| 模板、场景投影和文书分类 | 已有60资产、输入定义、适用边界、装配与生命周期 | 逐项复用和补缺，不重建另一套模板目录 |
| 起草工作区 | 已有事实快照、候选、差异、明确采纳、历史版本、撤回 | 不重新做起草平台；只修真实问题和经准入的体验缺口 |
| 异步AI任务 | 已有任务状态、取消、幂等、恢复、复核和有界修复 | 不另造通用任务平台，不静默改变重试与修复代数 |
| 身份和工作区 | 已有个人/组织工作区、角色、可信代理与操作人绑定 | 复用现有权限，新增商业权益不得替代身份授权 |
| 公开入口和引导 | 已有公开首页、四个解决方案页、样例、试点入口、分角色引导 | 不把这些能力列为从零开发 |
| 产品分析 | 已有事件、获客归因、起草漏斗、阶段耗时、工作区结果统计 | 补商业结果关联，不另建大型分析平台 |
| 模型成本 | 已有token和`estimated_cost`，API适配器按配置费率估算 | 补完整交付成本和账单核对，不宣称完全无成本记录 |
| 交付设施 | 已有构建、安装包、迁移、扫描、备份及恢复工具 | 继续既定收口，不以新证明框架代替闭合真实证据 |

“已有源码”仅表示可复用起点，不代表已部署、已获专业批准或已通过当前候选的现场验收。

### 2.3 证据与假设

已经确认的规划/实现错配：

- 注册关闭时，首页仍有指向注册页的“免费开始使用”主入口；关闭分支主要引导返回登录。
- 不同市场文件对“三分钟激活”分别使用“得到有依据结果”和“成功发起审查”，需统一定义。
- 当前已有技术与流程统计，但所读材料尚不足以证明持续使用、付费和完整毛利闭环。
- 成本配置默认值为零，不能把未配置费率当作真实零成本。

需要验证而不能当作市场事实的事项：

- 哪个行业、角色和组织规模最有采购意愿。
- 专业个人是否能独立付费，是否能带来企业转化。
- 客户是否愿意改变现有Word/办公/律师复核工作流。
- 有效价格、计费单位、获客成本、留存、续费和私有部署利润。
- 某个连接器、内容批次或新模型是否能提高复用和收益。

历史报告中的真人研究数量、耗时、引用失败和测试数量只适用于其记录的日期、版本及样本。不得直接认定今天仍是同样状态，也不得把历史单次成功拼接成当前SLA。

## 三、产品定位、客户分层与价值主张

### 3.1 产品定位

统一工作定位：

> **钰麒合同是面向成长型企业与专业用户的合同起草、风险审查和协作工作台：让业务与专业人员围绕同一版本处理事实、风险和确认，减少反复改稿，使依据和责任可追溯。**

不是：

- 承诺替代律师的自动法律意见系统。
- 保证合同有效、交易安全、审批通过或诉讼结果的平台。
- 仅凭一次模型调用生成长文本的合同网站。
- 同时承揽所有行业、全部律所流程和任意私有化需求的通用软件项目。

### 3.2 客户分层

| 客群 | 规划角色 | 重点结果 | 不默认扩展的范围 |
| --- | --- | --- | --- |
| 成长型企业的业务、采购、法务团队 | 优先验证的主收入客群 | 初稿可用、风险可处理、同版本协作、减少往返、历史可查 | 全量ERP/OA替代、无限自定义流程 |
| 独立顾问、小微经营者、项目负责人等专业个人 | 保留并独立验证的用户与收入来源 | 快速起草、单份审查、历史复用、清晰边界 | 自动视作企业获客入口、低频大众无限免费 |
| 律师事务所 | 保留现有工具使用；可作为专业内容、复核或实施伙伴 | 工作成果可审阅、资料隔离、版本与依据 | 案件管理、利益冲突、工时计费等完整律所系统 |
| 有明确预算的私有部署客户 | 条件性项目制业务 | 数据边界、可安装交付、升级维护和可核算服务 | 无预算适配、长期免费运维、用项目收入证明SaaS成熟 |

主收入客群是经营资源优先级，不是对三类既有用户的功能删除。

### 3.3 客户准入与场景选择

优先接触满足以下条件的组织：

1. 存在可描述的重复合同工作，而非一次性好奇体验。
2. 现有流程有可测量的改稿、找模板、漏确认或等待问题。
3. 有日常使用者、业务负责人及采购决定者。
4. 能在明确授权和数据边界内配合验证。
5. 能说明替代方案与潜在预算，不要求先无限定制再考虑采购。

每个设计伙伴可选一个主要场景用于验证，但系统交付和验收继续保留全部60资产。场景聚焦不得包装成“其他资产不必交付”。

### 3.4 差异化应由结果证明

| 候选差异化 | 应获得的证据 | 不合格的替代证据 |
| --- | --- | --- |
| 可继续使用的初稿 | 必要事实完整、正文干净、目标用户完成修改与交付 | 输出很长、模板数量多 |
| 有依据的风险审查 | 来源和适用条件可核验，建议对应实际条款 | 引用多、模型自报高置信度 |
| 同版本协作 | 审查、审批和修改绑定版本，旧批准不误认新正文 | 有多个角色按钮 |
| 真实效率 | 与客户原流程比较的总投入、往返轮次或周期改善 | 单次模型执行很快 |
| 持续价值 | 跨自然业务周期复用、第二成员参与及实际采购 | 注册、下载、口头赞赏 |

## 四、开发原则、优先级和停止规则

### 4.1 固定原则

- 保留四工程边界，不大重写，不恢复退役产品树。
- 默认编辑现有实现；只有缺口确实需要时才新增文件、服务或数据结构。
- 先读受影响源码和测试，再设计；Next.js相关实现还须读取安装版本提供的相关指南。
- 合同事实、租户、身份、版本、来源和批准记录不因体验或商业目标而降级。
- 执行收据、哈希、AI复核、人工专业批准、密码学签名和第三方存证分别表述。
- 不新增每份普通草稿都必须由律师签字的流程；按已定义风险边界接管。
- 模型调用不静默换Provider、重试或fallback；开发和正式认证保持明确模式。
- 用户取消、超时、失败、未知和修复消耗不得被隐藏；技术成功、业务可用和收费处理分别计算。

### 4.2 研发优先级不等于发布缺陷分级

| 规划优先级 | 含义 |
| --- | --- |
| `A` | 收口后优先建立可信服务、价值观测和成本闭环；先完成相关准入 |
| `B` | 价值验证后推进付费、复用和有限协作优化 |
| `C` | 有明确客户与收益证据才实施的集成、内容扩展和架构优化 |

本规划的A/B/C不得自动转换成当前候选的P0/P1。当前发布缺陷继续依照既有定义、实证和发布负责人裁定。

### 4.3 新需求准入

每项需求必须说明：

- 谁在什么工作中遇到什么问题。
- 现有能力为什么不足，是否有可接受的安全替代流程。
- 预期改变哪个用户结果，而不是增加多少页面。
- 验收、失败和停止条件。
- 涉及的数据、权限、迁移、质量与运营成本。
- 可以复用什么；不做什么。
- 唯一责任人、时间盒、预算和必要授权。

未满足准入的事项只能是`PROPOSED/BLOCKED`，不能以“技术上可以”进入实现。

### 4.4 停止规则

- 同类稳定失败先查根因，不重复跑同样输入等待偶然成功。
- 无有效成本、来源或客户价值证据时，不做无边界优化。
- 外部材料缺失只登记责任人和影响，不追加无关代码。
- 一个交付物通过后结束该任务，不自动生成后续阶段。
- 安全事故和事实完整性问题按现有机制立即处置，不能以路线图优先级推迟。
- 到达任务时间盒或调用/费用上限时停止新派发，保留当前结果，由负责人决定调整、拆分、暂停或取消。

## 五、当前收口与后续研发的条件式路线

下面的S编号只是长期规划视图，**不是新的RC门禁，也不是要求当前收口再增加阶段**。

| 规划视图 | 允许工作 | 启动条件 | 本视图的结束判断 |
| --- | --- | --- | --- |
| `S0 既有发布收口` | 现有BUILD及RC05至RC08任务、获批阻断修复；只读战略与经营准备 | 当前权威台账及具体授权 | 对应真实收据、内部/公众独立决定；发布负责人记录正式完成并更新冻结基线 |
| `S1 可观察、可解释的服务` | 在后续版本统一入口、价值口径、必要观测、成本和支持机制 | 冻结限制已按规则结束；版本范围和责任人明确 | 已有业务链可观测，未兑现承诺清除，失败和成本可核对 |
| `S2 价值与经济验证` | 经授权的目标用户研究、设计伙伴使用和付费条件验证 | 合适环境及数据使用授权、服务放行、负责人和预算齐备 | 得到复用、专业质量、支持负担与真实采购证据；可作继续/调整/停止决定 |
| `S3 有边界的商业闭环` | 权益、用量、订单/账单及必要支付能力；复用和协作改进 | 有价格/单位决策、成本依据和采购需求；获批后续版本 | 用量与收费可对账、错误可恢复、退出可操作、单位经济可计算 |
| `S4 证据驱动的扩展` | 一个被证明必要的集成、内容批次或私有部署能力 | 有客户、责任、投入上限、收益及安全评估 | 该项结果验收完成即结束，不自动并行扩展全部方向 |

### 5.1 后续工程的统一前置条件R

第十四节所有非当前RC的代码工作包均隐含依赖`R`：

1. 发布负责人已记录当前收口正式完成，并更新临时范围冻结基线。
2. 对应后续版本已批准范围，任务与文件归属明确。
3. 执行采用合适分支/worktree，不改旧tag和旧正式证据。
4. 已检查该能力的现状，确定增量缺口，不重复开发。

`R`未满足时，只能做不改变候选的只读分析、方案和经授权的经营准备。

### 5.2 服务授权条件U与P

- `U`：对应内部/受控环境已具备有效GO及具体参与者、数据、操作和预算授权。技术隔离测试不等于U。
- `P`：对应公众生产服务具有有效放行和具体操作授权。内部例外不等于P。

后续开发可在获准隔离环境使用合成数据验证；真实合同、实际扣款、外部消息和部署仍分别需要相应授权。

### 5.3 商业验证的起始决策标准

以下是收口后的内部验证建议，不是市场准确率、当前RC退出条件或对外承诺：

- 初始设计伙伴目标可采用3—5个独立组织，由经营负责人依据招募能力和预算登记实际样本方案。
- 观察至少两个该客户自然合同工作周期，不能用管理员替客户完成任务证明复用。
- 需要同时观察可用结果、返工、支持成本、重复使用和采购决定。
- 一个实际订单只能证明一个客户的购买；少量样本不能证明普遍PMF或全市场价格。
- 如只出现一次性体验、无法解释的质量分歧或不可承担的支持成本，先调整假设，不追加更多免费客户制造增长。
- 研究人数、周期、预算与决策阈值在执行前确定；未达到时如实记为未验证，不自动改变分母。

## 六、产品旅程、公开入口和体验方案

### 6.1 公开入口

目标：用户在点击前知道当前能获得什么，不以未开放服务吸引注册。

| 状态 | 主入口语义 | 次入口及边界 |
| --- | --- | --- |
| 未登录且注册关闭 | 公开预览、申请受控试用或联系开通 | 登录；说明尚未开放自助服务，不承诺立即免费生成 |
| 未登录且注册合法开放 | 与真实基础权益一致的开始入口 | 团队试点；显示适用边界，不公布未实施额度或续费 |
| 已登录 | 进入工作台或继续自己的任务 | 不丢失正在处理的工作，不重复诱导注册 |
| 能力读取失败/未知 | 显示无法确认当前开放状态及支持入口 | 默认不声称已开放，不借故绕过注册保护 |

实现要求：

- 复用现有identity capabilities和公开入口，不新增第二套开放状态配置。
- 首页、解决方案页、注册关闭页及试点说明使用同一能力语义。
- 公共页面不能返回合同正文、用户信息、内部密钥或运维详情。
- 样例明确标注演示/脱敏及适用范围；固定置信度不能包装成校准准确率。
- 试点联系人、处理责任和实际服务时间必须真实；不伪造客户Logo、ROI或专家签字。
- 文案方案可以先确定，但候选代码变更必须等待R或现有发布缺陷分类决定。

### 6.2 首次工作

复用现有“起草、审查、团队流程”目标选择，不让用户先理解整套后台。

起草路径：

`选择任务与场景 → 录入必要事实 → 缺项/矛盾确认 → 可编辑草稿 → 候选和依据 → 明确采纳/保留原稿 → 适用下载或协作`

审查路径：

`上传/选择版本 → 解析与边界提示 → 发起审查 → 可见进度 → 风险、来源和建议 → 用户处理/确认 → 新版本或继续编辑`

团队路径：

`选择业务目标 → 配置最小成员与职责 → 围绕一个版本处理任务 → 明确批准/退回 → 适用交付与归档`

要求：

- 渐进展示不等于删必要事实；未知、未确认与不适用不能混为一类。
- 主体或历史信息复用必须展示来源，由用户确认角色及变更，不能自动猜测交易事实。
- 复杂场景允许异步和补问，不为了“三分钟”省略专业判断。
- 首份结果后提供可理解的下一动作，避免引导普通用户进入平台管理。
- 不新增与已有工作区并行的“快速生成”业务链。

### 6.3 持续使用

优先改善经客户证据确认的复用摩擦：

- 找回历史任务、恢复未完成工作。
- 显式复用主体资料、已确认事实或适用模板。
- 从上一版本继续修改，不污染历史。
- 第二位成员参与时知道自己要处理什么，而不是看到全部后台。
- 结果中区分需要确认、建议修改、已处理与不适用。

提醒、邮件、短信和邀请均不得默认对外发送；必须有授权、退订及隐私安排，不新建无依据营销自动化。

### 6.4 异步、失败与未知结果

- 继续使用已有任务ID、幂等键和恢复语义。
- 排队、执行、复核、待人工、失败、取消等状态不误显示为完成。
- 网络断开或前端关闭不自动产生第二次模型请求。
- 未知结果先查询既有任务，不以“重试”制造重复消耗或双重采纳。
- 自动修复沿用当前有界规则，不无限修复直到通过。
- 转人工时保留原稿、失败原因、可继续操作和责任入口。

### 6.5 流程适配

- 合同与通知、决议、意见书、授权委托等文书保持类型分界。
- 个人确认与企业审批职责分离按适用规则呈现，不虚造审批人。
- 法务工具使用不自动获得平台运维或特权身份权限。
- 审批/审查记录绑定版本；正文变化后的旧批准不能用于新正文。
- 签署证据记录不被宣传为已经具有可靠电子签名或第三方存证效果。

## 七、内容资产、AI质量与专业信任方案

### 7.1 内容资产生命周期

复用现有模板、Prompt和法律资产生命周期，不建设第二套资产治理系统。

每项发布资产的必要记录：

- 稳定资产ID、文书/合同类型、适用与排除条件。
- 正文、说明、内部规则及来源的边界。
- 必要字段、条件字段、互斥事实和角色。
- 内容版本/hash、专业维护人、工程维护人。
- 发布或内部受控使用的具体批准及范围。
- 对应回归、来源核验和已知限制。
- 更新、停止新增使用和历史快照处理方式。

60个资产必须保留当前验收责任。后续扩展C批或其他内容时，另按CONT-01准入；不得因新的市场聚焦撤销既有交付。

### 7.2 四层质量

| 层次 | 验证项目 | 证据与责任 |
| --- | --- | --- |
| 技术结构 | schema、字段、终态、输出完整、协议解码 | 确定性与真实执行证据；研发/QA |
| 合同事实 | 主体、金额、币种、日期、期限、角色、条件是否保留，是否造值 | 冻结输入/版本对照与反例；研发/内容维护 |
| 来源与依据 | 来源身份、时间、适用条件、摘录与结论对应 | 来源记录与核验；专业内容维护 |
| 专业适用性 | 重大遗漏、建议是否适合具体业务、必要人工判断 | 有边界的专业复核及分歧记录；具名专业责任人 |

各层分别统计，不能用一层的通过率给其他层背书。

### 7.3 正文、说明和证据分离

- 交付正文只保留可能由当事人继续使用的业务文本。
- 内部ID、模型指令、系统护栏、未解决占位和起草说明不得误进入正文导出。
- 缺失的必要事实阻断适用动作；可选未适用条款按照已有语义安全处理，不删实质义务。
- UI可关联说明和证据，但合同正文与报告导出分别明确性质。
- 不以关键词命中直接认定法律错误；需结合位置、语义与适用条件复现。

### 7.4 专业复核与校准

- 高风险、重大事实冲突、来源无法支持或重大不确定性使用已有接管边界。
- 一般草稿不增加一律律师签字的前置流程。
- 校准样本需要区分AI复核和独立人类专业意见；同模型二次检查不是独立批准。
- 分歧记录包含类型、严重性、原因及版本，不只记录“通过/不通过”。
- 校准成本进入成本账，不作为免费无限兜底。
- 来源更新导致哪些新任务需要调整、哪些历史记录只保留快照，必须有明确决定；不重写过去的输出。

### 7.5 评测和宣传

- 当前144矩阵、14模块与280预算继续使用现有runner、registry和ledger。
- 后续版本按变化范围制定评测，预算在执行前批准；280是本轮约束，不随意宣称永久覆盖所有未来版本。
- 成功、失败、超时、取消、fallback、未知与接管分别列出，旧失败保留。
- 正式认证不静默替换Provider、不复写source pin、不挑容易样本替代失败。
- “来源可追溯”与“结论正确”分别验证；“无重大事故”不能替代质量数据。
- 未经足够样本、范围定义和专业校准，不宣传99%准确率、100%合规或普遍三分钟交付。

## 八、产品指标、事件契约与商业验证方案

### 8.1 指标分层

| 层级 | 核心指标 | 不应混用的指标 |
| --- | --- | --- |
| 获客 | 有效线索、场景到达、可获得服务后的申请/注册 | 总流量不等于有效线索 |
| 启动 | 用户成功提交任务、解析成功 | 发起审查不等于得到结果 |
| 产出 | 结果可读、时间、结构和事实质量 | 任务成功不等于业务可用 |
| 可用交付 | 必要确认完成，用户继续编辑/处理建议/适用导出 | 下载不等于专业批准或签署 |
| 复用协作 | 第二次任务、跨业务周期复用、第二成员实际参与 | 邀请链接生成不等于组织采用 |
| 商业 | 真实采购、续用、收入、退款与贡献 | 口头意愿不等于订单 |
| 运营 | 失败处理、接管、人工时和客户退出 | 模型执行耗时不等于服务总投入 |

核心经营指标：**按客户自然业务周期，持续完成可用合同工作的组织数**。专业个人单独统计，不机械套用企业组织指标。

### 8.2 时间口径

- `启动耗时`：用户开始该任务至系统接受任务。
- `排队耗时`：系统接受至实际开始执行。
- `模型执行耗时`：该次实际Provider执行区间。
- `首次可读结果耗时`：用户开始至结果可读。
- `可用交付耗时`：用户开始至必要确认和适用交付完成。
- `协作周期`：相关人员围绕版本完成其工作的总周期。
- `用户主动操作时间`与等待时间分开，不声称全部等待均为人工节省。

指标按任务类型、复杂度、用户角色和版本分组，提供样本数、失败数和p50/p95；样本过小时不制造稳定SLA。

### 8.3 “可用”的操作定义

可以记录为业务可用代理事件的前提：

1. 对应真实授权用户的版本或工作区结果，非演示/管理员代操作/合成评测。
2. 必要事实没有未解决缺口或被系统静默补造。
3. 适用的技术和事实检查已完成。
4. 用户实际继续编辑、处理/确认建议或执行允许的交付动作。

该事件仍是产品价值代理，不是法律有效性、专业批准或签约成交。专业质量统计必须另行校准。

### 8.4 事件设计

复用`product_analytics`、旅程收据和服务端业务状态。新增事件名、字段和接口只是实施时的候选设计，不是宣称当前已存在。

原则：

- 页面点击可由客户端记录；生成、采纳、审批、用量和订单事实以可信服务端状态为准。
- 事件携带版本化口径、幂等标识、任务/旅程关联与受控环境类别；字段仅按实现所需增加。
- 用户、租户和操作人由服务端绑定，不能信任客户端自报身份。
- 不在分析事件写入合同正文、输入全文、邮箱、客户名称、自由文本错误或密钥。
- 如果分析需要新的敏感数据用途，先取得隐私评审，不能用“运营需要”放宽allowlist。
- 测试、管理员演示、研究、内部试点与公众生产分开；未知历史事件不能自动归入真实客户。
- 先沿用现有存储和查询，不引入数据仓库、追踪SDK或消息总线，除非ARC-01证明必要。

### 8.5 漏斗与留存

- 现有获客归因偏向注册后回放的浏览器CTA；不能冒充全站匿名访问漏斗。
- 未实现的分母标记为未采集，不显示为零或以注册用户反推访问量。
- 注册关闭/不可获得服务期间的点击单独解释，不能当作开放服务的流失率。
- 可用性与激活按实际用户任务核对；发起和完成分别展示。
- 复用按组织的实际合同周期定义，保留观察窗口及尚未到期的样本。
- 计算“第二次处理”时需排除同一任务重试、重复事件和管理员演示，但失败仍保留在对应服务结果分母。
- 用户取消与系统失败分类，不因分类而从总尝试记录或成本账消失。

### 8.6 验证方法

- 比较客户原工作流与本产品，记录阅读、录入、确认、改稿、协作及等待。
- 同样的任务复杂度与必要事实要求下比较，不能拿复杂旧流程与简化演示比较。
- 记录放弃、不使用、继续使用原工具和不购买的原因。
- 原始研究材料在仓外授权存储，发布摘要脱敏；对外案例、Logo和引用另取书面许可。
- 用户研究不是当前RC06功能验收的替代物，亦不追加入当前收口范围。

## 九、完整成本、免费边界与商业化方案

### 9.1 成本对象与归集

成本以“交付链”和“组织服务”两层计算，而非只统计一次模型调用。

```text
单份可用交付成本
= 该交付链全部实际模型尝试
+ 相关检索/解析/存储等直接成本
+ 失败、复核、修复和必要人工支持/专业复核成本
+ 按明确方法分摊的运行与实施成本
```

批次统计使用该批全部成本除以该批可用交付数量；零交付时标记不可计算，不能返回零成本。

```text
组织期间贡献
= 同口径期间收入
- 该组织可归属的模型、基础运行、支持及交付成本
```

获客和研发投入另行展示，避免将“贡献为正”描述为公司整体盈利。现金收款、收入确认与预测订单分开。

### 9.2 必要成本记录

优先复用既有token、audit、job和相关任务收据；只在确有缺口时增加字段。

- 交付链/任务关联，版本，操作类型及实际尝试。
- Provider、模型、用量可得性、价格快照、币种和计价单位。
- 估算、已核对账单、未知/缺失三种性质。
- 请求失败、超时和未知结果的已知消耗或待核对标记。
- 人工投入分类、工时及可审计的计价依据。
- 分摊方法、期间和重复计算检查。

费率默认零或Provider不报告usage时，成本为未完整估算。只有具备有效价格、优惠或账单依据才可认定真实零费用。

### 9.3 账单核对与预算

- 估算值与实际供应商账单分别保存，不覆盖原估算。
- 价格调整不重算成“当时就是新价格”；需要保留适用时间和版本。
- 失败任务不收费或退还额度，也不能抹掉供应商实际支出。
- 预算、调用上限、并发及模型模式在任务前明确；达到边界停止新增派发。
- 未知消耗不能被视作免费并自动重试。
- 不自动购买Provider、充值或升级订阅；需要具体预算授权。

### 9.4 免费与试点

在权益和计量未闭合前，不对外公布未实施的次数、期限、价格或自动续费。

正式免费/试用设计至少明确：

- 用户能获得哪些能力及限制。
- 限额、有效期和是否包含人工服务。
- 超限前提示、超限后的选择。
- 失败、取消、重复提交和修复如何计量。
- 结束后材料的访问、导出、保留与删除安排。
- 不默认转付费、不直接删除用户材料。

14天不是永久固定规则。期限或任务额度需匹配自然业务周期和成本，依据验证决定，不能照搬历史品牌建议。

试点必须有场景、负责人、投入上限、成功标准、结束复盘和采购决定。不接受无限免费定制后再谈采购的默认流程。

### 9.5 商业包装与计费单位

候选包装沿用基础体验、团队、企业服务；私有部署和专业人工服务独立报价核算。

主计费单位可考虑组织/活跃席位与客户可理解的业务用量组合。选择前需比较：

- 客户是否能理解、预算和核对。
- 与持续价值是否匹配。
- 对低频用户、团队协作和高消耗任务是否公平。
- 是否覆盖高分位成本、支持负担和实施投入。

不在本文件编造具体价格、毛利或CAC。专业个人与企业的定价验证分别进行。

### 9.6 订单、权益与支付的最小闭环

实施顺序：

1. 先明确能力包、计量、价格和合同/政策责任。
2. 有效采购需求下可使用经批准的人工订单及开通，不伪装成自动支付已实现。
3. 复用业务身份与权限，商业权益只限制合法能力与用量，不授予额外数据权限。
4. 实现可核对的用量预留、结算、取消/失败释放和未知状态处理，防并发超额和重复扣量。
5. 只有确有需求才接支付渠道，使用可信服务端确认、签名校验、幂等和对账；前端“支付成功”不是付款证据。
6. 退款、升级、降级、到期和争议不会静默改写历史订单、用量或合同数据。

具体结算政策在COM-01/COM-02确定。隔离测试不能产生实际扣款；接入支付、公开收费和财务事项均另需授权及具名负责人。

## 十、客户成功、失败接管与市场运营方案

### 10.1 服务责任

每个被允许使用的环境必须明确：

- 谁接收产品申请、谁回应支持、谁处理任务失败。
- 实际服务时间、沟通渠道、可承诺事项及不覆盖事项。
- 模型异常、数据问题、专业争议和安全事件分别交给谁。
- 无法解决时如何保留资料、退出、导出或转人工。

复用已有任务管理、告警、邮件支持和审计，不先建设大型客服平台。

### 10.2 失败接管

- 用户能看见失败类别和下一步，不暴露内部自由文本错误。
- 接管人不能无授权访问全租户合同；必要访问有范围、理由与审计。
- 接管保留任务、版本和历史，不直接覆盖原稿。
- 需要再次调用模型时核对原任务状态、预算和用户意图。
- 人工处理结果与AI输出区分，并登记投入成本。
- 重大质量/安全事件优先处置；不能把投诉简单归为用户不会操作。

### 10.3 客户运营漏斗

`有效线索 → 场景诊断 → 对应工作流演示 → 经授权受控验证 → 复用与成本复盘 → 采购决定 → 持续使用`

每个环节只记录必要信息和责任人：来源、客户问题、决定人、当前环节、下一动作、丢失原因、投入。联系人及原始资料留在授权经营系统或受控存储，不进入源码。

现有邮件入口可继续使用；没有跟进能力时先补责任与工作方法，而不是立刻开发CRM。

### 10.4 渠道与推广

- 一次验证少量可接触渠道，不同时启动全部内容平台、广告和生态合作。
- 以有效线索、采购和支持成本评估渠道，不以流量或发文量代替成功。
- 行业伙伴、法务合作、企业服务机构等只是候选渠道，不宣称已有合作。
- 付费广告、邮件、社交消息和客户材料公开均需要具体授权。
- 未获得可持续服务和质量证据前，不进行可能超出容量的大规模开放获客。

### 10.5 支持与宣传边界

- 服务时间和响应承诺依据实际人员能力制定，不把历史建议直接作为SLA。
- 正式政策、实际Provider及数据处理边界一致；不能只宣传数据库隔离却忽略外部模型处理。
- 客户案例必须有真实结果和公开授权，允许匿名但不能虚构。
- 不使用“替代律师、官方认证、保证通过、100%合规、法律效果已保证”等表述。
- 专业意见、存证、电子签名或资质编号只有存在相应真实有效依据时才展示。

## 十一、技术架构、数据归属与接口演进方案

### 11.1 保留现有四工程

| 工程 | 持续责任 | 禁止越界 |
| --- | --- | --- |
| Contract Platform | 工作区、合同事实、版本、流程、身份业务、产品事件及商业权益 | 不直接修改AI平台知识/Prompt表，不让模型拥有合同状态 |
| AI Platform | Provider、Prompt、检索、模型任务、技术质量与模型成本 | 不替业务决定采纳、审批、收费或法律批准 |
| Python SDK | 受控跨服务契约、协议解码和校验 | 不另建完整业务后端，不绕过服务身份与版本保护 |
| Infra | 构建、运行、网络、存储、监控、备份与发布工具 | 不替代业务同意、法务签署和生产授权 |

是否将AI平台独立对外商业化，需要另一项真实产品发现和经营批准；本规划不自动启动。

### 11.2 数据归属

- 合同库保存业务事实、版本、流程、权益、用量和订单事实。
- AI库保存模型任务、Prompt/来源快照、usage、成本估算与相关审计。
- 对象存储保存原件、允许的导出物和受控任务附件。
- 跨域使用已有受控API/SDK和不含秘密的关联ID，不跨库JOIN作为业务实现捷径。
- 业务交付成本可汇总AI成本，但原始供应商成本和业务收费事实分别保留。
- 本轮不启用预留运营数据库、不新建分析服务；先扩展已有聚合和持久化。

### 11.3 接口与契约

- 优先复用现有OpenAPI和BFF；变更同步API、SDK、Web类型与受影响测试。
- 新接口只在任务卡注明目标用途、鉴权、数据范围、错误码、幂等和版本语义后建立。
- 当前协议标识中的`v1`不代表旧产品树，不机械改名破坏持久化契约。
- 可信操作人、租户和内部service key由服务端处理，不下发浏览器。
- 不创建无白名单的通用透明代理。
- 不新增看似通用的一次性抽象；确有重复风险再沉淀。
- 已有历史任务继续使用自己的快照；协议调整必须有明确迁移和旧记录读取安排，不能随意改写。

### 11.4 异步一致性

- 复用已有worker、幂等、取消和恢复机制。
- 同一任务的业务状态与派发存在实证一致性缺陷时，再选择现有机制的最小修复；不预先引入新工作流产品。
- 成本、计量和任务关联使用幂等业务事实，不依赖客户端上报“成功”。
- 重启、断网、重复请求及未知结果不造成重复合同、重复采纳、重复扣量或错误归属。
- 扩大并发之前先证明租户、端口、数据库和证据隔离及容量，不盲目提升worker数量。

### 11.5 架构与维护优化准入

大文件、代理重复和设计系统不足属于可能的维护成本，不仅凭行数立项。

ARC-01必须给出：真实缺陷/改动热区、重复风险、回归范围、改造与不改造成本。随后ARC-02只实施一个可验收热点；不做全仓机械拆分，不恢复V1兼容树，不以重构打断当前收口。

## 十二、身份权限、隐私与服务安全要求

### 12.1 身份和权益分离

| 控制层 | 决定什么 | 不能决定什么 |
| --- | --- | --- |
| 身份认证 | 谁在访问 | 不能因付费而跳过认证 |
| 租户/资源授权 | 该用户能看或操作哪些数据 | 套餐不能授予其他工作区数据权限 |
| 职责和流程 | 谁可审批、发布或操作特权资源 | 个人owner不自动等于平台管理员 |
| 商业权益 | 合法能力、容量及服务范围 | 不削弱安全、隔离、数据权利和版本保护 |

### 12.2 数据与隐私

- 数据收集遵循实际用途和最小必要，合同内容不进入增长事件或普通日志。
- 外部模型、存储、人工复核和支持访问均在披露与授权范围内。
- 合同内容不默认用于跨客户训练；如有新的训练用途，必须单独评审和明确授权。
- 导出、更正、删除和试用结束处理沿用正式政策；删除与法定/合同审计留存的边界由具名法务确定。
- 不能为“删除”破坏其他主体资料或不可变审计；应说明保留范围和期限。
- 客户测试数据、真实生产数据、模拟数据和专业校准资料分别管理。
- 邮箱、CRM、表格和外部分析工具不自动获得合同全文，第三方上传需要明确授权。

### 12.3 安全验收

按变更风险覆盖：跨租户ID访问、伪造用户/操作人、重复请求、对象权限、恶意上传、输出注入、资源超限、密钥泄漏、支付回调伪造和重放。测试只在授权范围和隔离环境执行。

基础安全能力对所有合法用户有效，不包装成付费才提供的保护。

## 十三、测试、迁移、发布与证据管理

### 13.1 分层测试

| 层级 | 触发 | 主要内容 |
| --- | --- | --- |
| 定向反馈 | 一次实现或修复 | 直接反例、受影响单元、类型和必要静态检查 |
| 受影响集成 | 一个工作包集成 | 实际API/SDK/BFF/worker契约及相关业务旅程 |
| 风险扩大验证 | 安全、迁移、共享契约、支付、存储等变化 | 租户/角色/平台、并发/恢复、数据库、Linux及相关对抗反例 |
| 候选确定性门禁 | 集成完成、候选冻结后 | 同一身份的完整必要门禁，避免重复计数 |
| 正式模型与现场验收 | 不可变候选且有授权 | 固定输入、预算、模型和镜像；保留每个失败与未知 |

文档变化不触发模型矩阵或全产品构建。复用旧证据必须证明完整相关输入身份适用，不能拼接不同候选的绿色结果。

### 13.2 迁移

- 修改持久化结构前先确定数据库归属、旧数据状态和必要迁移。
- 按仓库现有Alembic规则创建后续迁移，不假定历史head永远不变，不改写已应用迁移。
- 验证空库升级和从实际受支持版本升级；SQLite测试不替代生产PostgreSQL行为验证。
- 先备份、验证恢复与兼容性，再在具体授权环境执行迁移。
- 回退采用获批包和数据兼容策略；首次发布可按既有具名决定使用安装前快照恢复，不伪造前序包。
- 不用数据库downgrade、删卷或重建数据库作为问题解决捷径。

### 13.3 发布

- 并行写入使用独立worktree/分支和声明的文件归属。
- 单一集成人收齐变更与审查意见，固定候选；证据消费者不顺手修改源码。
- 镜像、Prompt、Schema、资产、配置和迁移对应同一候选。
- UAT通过的镜像直接晋级，不重新构建所谓等价镜像。
- 冻结后P0使候选失效；P1依照发布负责人裁定；一般优化进入后续。
- 尽量集中获批修复并以最多一次refreeze为效率目标，不能为了次数目标带缺陷放行。
- 生产部署、迁移、恢复、风险接受、真实凭据/数据和切流均需具体具名授权。

### 13.4 证据

- 原始JSON、JUnit、逐案例输出、账单、访谈、扫描、镜像、SBOM和备份放在仓外持久受控存储。
- 源码只保留必要规划、摘要、清单、索引和哈希。
- 候选证据包含版本身份、时间、实际环境、范围、结果和限制。
- 哈希可核对不等于法律批准；签名有效也不证明语义或专业结论正确。
- 不删除历史失败，不通过换目录、换tag或新建campaign清零调用和失败分母。
- 未经归属确认不清理用户文件或已有未跟踪产物。

## 十四、可执行工作包与验收标准

### 14.1 工作包使用规则

- `R/U/P`含义见第五节；表中依赖均为必要前置，不是自动操作授权。
- 每项先核对当前源码和证据，已有能力完成时记为`VERIFIED_REUSE`，不重复开发。
- “涉及区域”是初始检查范围，不是对全部文件的写权限；实际文件白名单在任务卡登记。
- 责任角色不代表已完成具名分派；没有实际责任人不能进入`READY`。
- A类优先，但按依赖和一个交付物原则执行；不同时启动整张表。

### 14.2 定位与需求治理

| ID/优先级 | 唯一交付物 | 依赖 | 责任角色 | 验收与停止条件 |
| --- | --- | --- | --- | --- |
| `GOV-01 / A` | 客户、价值主张和商业假设决策记录 | 本规划；只读准备不要求R | 产品/经营负责人 | 明确主收入客群、使用者/购买者、场景选择、替代方案、待验证价格和不做范围；不得删60资产或三类用户 |
| `GOV-02 / A` | 一个后续版本的批准任务范围 | GOV-01；代码任务需要R | 产品负责人、集成人 | 每项有问题、结果、依赖、责任、白名单、验收、时间盒和预算；未获准项不自动加入 |

检查区域：本规划、既有产品/市场文件及当前任务系统；不建立第二套RC控制计划。

### 14.3 公开入口与首次体验

| ID/优先级 | 唯一交付物 | 依赖 | 责任角色 | 验收与停止条件 |
| --- | --- | --- | --- | --- |
| `ENTRY-01 / A` | 与真实开放能力一致的公开入口 | R；GOV-01 | Web、身份API、产品 | 注册关闭/开放、已登录、能力读取失败四类均有反例；首页及注册关闭页无虚假免费承诺；不打开注册门禁 |
| `ENTRY-02 / A` | 可核验的样例与服务边界展示 | R；GOV-01；政策/专业审阅 | 产品、内容、Web | 演示身份明确，来源和限制可解释，静态置信度不冒充统计结果，无虚假客户/SLA/资质；复用已有页面 |
| `EXP-01 / A` | 一个最高摩擦步骤的增量改进 | R；MET-01；实际摩擦证据 | Web、业务API、QA | 指定角色和场景下完成率/操作证据改善，必要事实不减少；无资料猜测、旧版本污染或导航越权 |
| `EXP-02 / B` | 经证实需要的资料/历史复用改进 | R；EXP-01；复用需求 | Web、业务API | 显式选择、角色确认、来源可见；金额/期限等变化重新确认；旧工作区快照不改写 |
| `EXP-03 / B` | 第二成员协作的一个有效改进 | R；MET-03；协作摩擦证据 | 产品、Web、业务API | 第二成员实际处理任务而非仅发送邀请；版本、职责分离与资源权限正确，无默认外发消息 |

检查区域：Web首页/注册/解决方案页、`onboarding`、起草/审查和工作区页面，已有业务流程与角色导航。不得另造简化生成后端。

### 14.4 质量与内容治理

| ID/优先级 | 唯一交付物 | 依赖 | 责任角色 | 验收与停止条件 |
| --- | --- | --- | --- | --- |
| `QLT-01 / A` | 可执行的分层质量口径与现状核验 | 可只读准备；代码需要R | 内容、AI、业务API、QA | 技术/事实/来源/专业质量分别定义；历史缺陷已修复则复用；未解决实证阻断转现有缺陷机制，不夸大关键词结果 |
| `QLT-02 / A` | 资产更新与停止新增使用的增量闭环 | R；QLT-01；具体维护缺口 | 内容、业务API、AI | 维护责任、来源适用时间、版本、批准和受影响任务明确；旧任务可读不重写；复用既有生命周期 |
| `QLT-03 / A` | 一个获授权的专业校准批次及分歧结论 | QLT-01；U或其他具体研究授权；预算和具名专业人员 | 专业负责人、QA、经营 | AI与人类记录区分，样本/失败/分歧完整，重大遗漏可定位，不能外推全市场准确率；到预算停止 |

检查区域：合同模板/场景资产、法律资产、Prompt、AI质量链与SDK；不新建通用质量平台。

### 14.5 指标与价值验证

| ID/优先级 | 唯一交付物 | 依赖 | 责任角色 | 验收与停止条件 |
| --- | --- | --- | --- | --- |
| `MET-01 / A` | 统一指标字典和现有事件映射 | GOV-01；可只读准备 | 产品、数据、业务API | 发起/可读/可用交付/协作分开，分母、样本、环境、自然周期和未采集字段明确；不是新看板 |
| `MET-02 / A` | 价值结果的最小服务端关联与聚合 | R；MET-01 | 业务API、AI、Web | 对重复、伪造身份、取消、失败、未知、演示数据和陈旧版本有断言；不记录合同正文；可核对任务事实 |
| `MET-03 / A` | 复用、协作及商业结果的最小汇总 | R；MET-02；合法商业记录来源 | 产品、业务API | 按自然周期展示，重复任务/邀请不伪装采用；未到期窗口与缺数据明确；平台只返回授权聚合 |
| `VAL-01 / A` | 一批目标客户价值与采购验证结论 | GOV-01；MET-01；OPS-01；相应U/研究授权 | 产品、客户成功、经营 | 原流程与新流程可比较，保留不使用/不购买原因及投入；形成继续/调整/停止决定；不追加当前10人研究门禁 |

检查区域：`product_analytics`、现有Web事件/旅程收据和分析页。优先复用现有聚合，不启用预留运营库。

### 14.6 完整成本

| ID/优先级 | 唯一交付物 | 依赖 | 责任角色 | 验收与停止条件 |
| --- | --- | --- | --- | --- |
| `COST-01 / A` | 一条交付链的完整成本归集 | R；MET-01；已授权费率/估算规则 | AI、业务API、财务/经营 | 全部尝试、修复、失败和人工投入计入；缺usage/费率标未知；币种与价格快照正确；零交付不返回零成本 |
| `COST-02 / A` | 批次/组织成本与账单核对结论 | COST-01；实际账单/服务记录授权 | 财务/经营、客户成功 | 估算与账单可解释，成本不重复/漏计；人工与私有部署独立；不得用预测订单计算已实现利润 |

检查区域：AI`providers/config/models/repository`的既有成本记录、业务任务关联与受控财务记录。不读取或公开真实密钥。

### 14.7 服务与客户成功

| ID/优先级 | 唯一交付物 | 依赖 | 责任角色 | 验收与停止条件 |
| --- | --- | --- | --- | --- |
| `OPS-01 / A` | 一个获准环境的支持与接管运行安排 | 当前支持能力核对；具体环境授权 | 客户成功、运维、专业负责人 | 具名接收人、实际服务时间、任务失败和重大争议升级明确；未承诺无法提供的SLA；不要求新增客服平台 |
| `OPS-02 / A` | 一次失败接管闭环的增量补缺 | R；OPS-01；COST-01；复现实证 | 业务API、Web、客户成功、运维 | 原稿可保留、无重复派发、接管访问有授权、人工结果区分；投入入账；已有闭环有效则记复用 |

检查区域：已有任务运营、人工接管、告警和支持入口，不自动访问所有客户合同。

### 14.8 权益、计量与商业闭环

| ID/优先级 | 唯一交付物 | 依赖 | 责任角色 | 验收与停止条件 |
| --- | --- | --- | --- | --- |
| `COM-01 / B` | 能力包、计费单位及试用政策决定 | GOV-01；VAL-01；COST-02；具名财务/法务 | 经营、产品、财务、法务 | 价格有依据，限额/失败/超限/到期/退出明确；不把安全或数据权利当付费权益；不自动续费 |
| `COM-02 / B` | 最小权益和用量闭环 | R；COM-01；MET-02；SEC-01 | 业务API、Web、QA | 预留/结算/释放及未知状态可核对；并发超额、重复扣量、伪造套餐被拒；订单与资源授权独立 |
| `COM-03 / B` | 一个真实需要的订单/支付渠道闭环 | R；COM-02；采购需求及渠道授权 | 业务API、Web、财务、QA | 人工或自动模式如实标注；可信付款/幂等/重放/对账通过；隔离测试不扣真实款；公开收费需要P及经营批准 |
| `COM-04 / B` | 到期、变更与退款/退出闭环 | R；COM-03；正式政策 | 业务API、Web、客户成功、财务 | 变更不重写历史订单/用量；导出与材料处理可执行；退款/争议有真实责任人，不静默删除或自动转付费 |

检查区域：现有身份能力、业务持久化和权益入口；必要接口/迁移在具体任务前设计，不宣称当前支付已经实现。

### 14.9 安全、集成与后续扩展

| ID/优先级 | 唯一交付物 | 依赖 | 责任角色 | 验收与停止条件 |
| --- | --- | --- | --- | --- |
| `SEC-01 / A` | 本次权益/分析/支持变更的安全与隐私决定 | 具体变更设计；R适用于代码 | 安全、法务、QA | 身份/租户/字段allowlist/支持访问边界明确；反例通过；禁止付费越权或扩大不必要数据收集 |
| `INT-01 / C` | 一家客户最需要的办公/业务连接器 | R；VAL-01；具体客户、API和数据授权 | 集成、业务API、Web、QA | 只接一家/一条明确工作流；版本回写、幂等、权限与失败接管正确；有实际采用证据 |
| `INT-02 / C` | 一个经选择的可靠电子签署连接器 | R；VAL-01；专业适用性、供应商及预算授权 | 产品、法务、集成、QA | 签署身份/版本/时间/有效证据来自真实供应商；回调可信；失败可恢复；不自建CA，不将测试签署当真实法律效果 |
| `ARC-01 / C` | 一个架构热点的投入决策 | 实际缺陷或变更成本数据；可只读准备 | 架构、相关维护人 | 明确热点、收益、风险、影响范围和不改方案；纯行数/技术偏好不足以立项 |
| `ARC-02 / C` | 一个获批热点的最小改造 | R；ARC-01 | 相应工程维护人、QA | 行为及契约不漂移，受影响回归通过，收益可核验；无全仓机械重写 |
| `CONT-01 / C` | 一批经需求排序的新增内容 | R；VAL-01；QLT-02；内容和专业预算 | 内容、AI、业务API、QA | 每项有适用/排除、实质条款、字段、来源、版本和验收；不复制无关断言，不冒充既有60资产已批准 |

任何新模型供应商、多云、外部见证、超大关系图、移动App或完整律所业务系统，均不由上述任务自动包含；有真实需求后按第十七节变更准入。

## 十五、工作排序、依赖与并行安排

### 15.1 当前唯一工程主线

执行前读取现有RC台账的`mainline_next_task_id`。制定时是BUILD-05，不能因为本规划新增任务就转去写计费、看板或连接器。

当前可并行的只是获准收口工作、已有外部材料准备和不改变候选的规划/经营决策。缺少授权时交付缺口清单，不操作环境。

### 15.2 收口后的初始选择顺序

在R满足且后续版本获批后，推荐依赖顺序：

```text
GOV-01 → GOV-02
  ├─ ENTRY-01 / ENTRY-02
  ├─ MET-01 → MET-02 → MET-03
  ├─ QLT-01 → QLT-02 / QLT-03
  └─ OPS-01

MET-01 → COST-01 → COST-02
MET-01 + 摩擦证据 → EXP-01 → EXP-02
GOV-01 + MET-01 + OPS-01 + 授权 → VAL-01

VAL-01 + COST-02 → COM-01
COM-01 + MET-02 + SEC-01 → COM-02 → COM-03 → COM-04
MET-03 + 协作证据 → EXP-03

VAL-01 + 具体需求/授权 → INT-01 / INT-02 / CONT-01
实际维护成本 → ARC-01 → ARC-02
```

箭头表示信息或交付依赖，不表示可以跨越R/U/P，也不表示表中所有分支必须完成才能再次发布。

### 15.3 首个后续版本建议

优先选能组成一个可观测闭环的小批任务：

- GOV-01/GOV-02确定客群与版本边界。
- MET-01统一价值与时间口径。
- ENTRY-01解决实际入口承诺错配。
- MET-02和COST-01以一条完整既有交付链补最小结果/成本关联。
- OPS-01确定该环境的实际支持责任。

上述是选择建议，不是无条件全部开工。已经具备的项目标记复用，某项未获准则只交付设计或阻断。

### 15.4 并行和容量

- 一名负责人同一时间承担的实现任务以可实际完成的一个主要交付物为默认，不借并行掩盖责任缺失。
- 产品/经营决策、内容核验、代码实现可以在依赖允许时并行；不可变证据只能消费已冻结输入。
- 并行写入必须独立worktree/分支；公共OpenAPI、模型和共享页面由单一集成人协调。
- 先登记实际容量、时间盒、模型/费用预算和外部等待，不在本文件编造确定工期或上线日期。
- 更换优先级时说明被替换任务及原因，不能不断叠加“顺手优化”。

## 十六、人员责任与外部输入

### 16.1 角色责任

| 角色 | 主要责任 | 不得代替 |
| --- | --- | --- |
| 产品/经营负责人 | 主客群、价值、优先级、价格和采购判断 | 发布、法律、安全与财务的具体批准 |
| 发布负责人 | 当前候选、缺陷分类、冻结基线、内部/公众放行 | 专业法务签字和实际环境操作授权 |
| 单一集成人 | 文件归属、合并、契约和候选一致性 | 其他人的审阅或独立批准 |
| 内容/专业负责人 | 法源适用性、资产维护、专业校准 | AI自评或工程检查 |
| 各工程维护人 | 读源码、最小实现、直接反例与受影响回归 | 经营假设和真实用户反馈 |
| QA/安全 | 反例、风险验证、候选证据与范围核对 | 生产风险接受 |
| 运维 | 环境、密钥、TLS、监控、备份恢复及事故处置 | 不经批准的部署和迁移 |
| 客户成功 | 招募授权、任务观察、支持、复用和退出 | 虚构客户结果或专业批准 |
| 财务/经营 | 费用、账单、订单、退款与贡献核算 | 以估算替代实际账单 |
| AI协作者 | 分析、代码、测试、材料整理和边界说明 | 冒充具名人员、签署或风险接受 |

角色可由同一人兼任，但独立审批和职责分离要求必须真实成立。新工作包的实际姓名尚未指派，不能从历史发布负责人姓名推导所有经营、财务或法务授权。

### 16.2 外部输入登记

| 类别 | 开工前需要的输入 | 缺失影响 |
| --- | --- | --- |
| 当前RC | 最新候选/收据、builder、UAT主机、账号、备份及操作授权 | 对应BUILD/RC保持阻断 |
| 专业与政策 | 具名专业人员、来源权限、正式政策与数据处理决定 | 不进行专业批准或相应外部服务 |
| 模型 | 正式可用Provider、验收、费率、预算与数据边界 | 不以开发订阅/CLI充当生产API授权 |
| 研究与客户 | 授权联系人、同意、可访问获准环境、样本方案 | 不虚构访谈，不擅自发送邀请 |
| 商业 | 定价/计费决定、采购需求、财务责任、支付/退款渠道 | 不宣称自动收费或实际扣款能力已完成 |
| 生产 | 域名、TLS、密钥、主机、告警、恢复能力和切流批准 | 公众服务保持未放行 |
| 集成 | 客户需要、供应商接口、许可、数据及费用授权 | 不编写无客户的全部连接器 |

每项外部输入在现有对应管理记录中登记实际owner、缺少内容、约定提供节点及影响，不用新增产品功能替代。

## 十七、开发任务卡、完成定义与变更控制

### 17.1 任务开始前必填

```text
任务ID / 本规划版本：
唯一交付物：
目标用户与可复现问题：
已有实现与证据：
本次增量 / 明确不做：
规划优先级 / 如涉及当前RC的具名分类决定：
依赖及R/U/P状态：
源码基线 / 候选身份 / 执行环境：
唯一责任人 / 审阅人与必要批准人：
分支或worktree / 文件白名单 / 单一集成人：
验收断言 / 直接失败反例：
受影响测试 / 风险扩大验证：
数据、隐私、迁移与失败恢复：
时间盒 / 模型调用和费用上限：
原始证据仓外位置 / 摘要位置：
停止条件：
```

时间盒是执行约束，由任务启动前约定，不是保证完成的预测。缺失责任、依赖、权限或预算的任务不能进入`IN_PROGRESS`。

### 17.2 完成定义

一个任务只有同时满足以下条件才可记为`DONE`或`VERIFIED_REUSE`：

1. 交付物与任务卡一致，没有附赠未准入功能。
2. 直接反例及受影响验证已完成，高风险范围未被缩减。
3. 源码、资产、API/SDK/Web和必要迁移一致。
4. 对重复、失败、未知、恢复及权限的适用断言成立。
5. 事件和成本不含未授权材料，不虚报用户结果。
6. 交付与验证范围明确：实现、隔离验证、候选验证、实际部署分别说明。
7. 原始证据在仓外可追溯；失败、跳过、取消及限制保留。
8. 必要人员审核完成；未部署不能记为已上线，未有专业意见不能记为法律批准。
9. 相关规划状态已更新，剩余阻断有owner；任务达到终点即停止。

### 17.3 新需求或实质变更

变更记录最少包含：

- 提出人、日期、客户证据和目标结果。
- 涉及本规划条目、既有范围与被替换任务。
- 成本、数据/权限/专业风险、迁移和回退影响。
- 验收与退出标准。
- 分类、决定人、批准范围和适用版本。

如果影响当前冻结候选，先走现有P0/P1机制；规划优先级A不是豁免。没有明确客户或风险依据的事项进入C类候选，不自动增加版本范围。

### 17.4 状态

`PROPOSED → BLOCKED/READY → IN_PROGRESS → DONE/VERIFIED_REUSE`

其他终态：`FAILED`、`CANCELLED`、`SUPERSEDED`。

- `FAILED`保留失败结果；新尝试有新的attempt，不覆写旧结果。
- `BLOCKED`列明依赖、owner和缺少材料，不伪装成代码未完成。
- `VERIFIED_REUSE`必须有适用源码和证据，不仅凭“以前做过”。
- 取消或被替代记录理由，不能用删除需求掩盖未达标。

### 17.5 版本与决策记录

| 日期 | 版本 | 变化 | 权限边界 |
| --- | --- | --- | --- |
| 2026-10-08 | v1.0 | 建立战略、持续研发、任务与验收总规划，并加入仓库阅读入口 | 仅文档交付；不修改当前候选，不授权任何生产或真实客户操作 |

## 十八、风险清单与路线调整机制

| 风险 | 可观察信号 | 应对和停止条件 |
| --- | --- | --- |
| 客群过宽 | 各类客户要求互相冲突，销售和实现同时扩散 | 回到GOV-01，明确主收入客群；保留兼容用户，不继续全方向定制 |
| 有体验无复用 | 首份处理后无第二次任务，仍回原工具 | 收集原因，调整价值/流程，不以更多流量掩盖 |
| 法律质量预期过高 | 用户把AI输出当保证；专业否定或重大遗漏 | 分层核验、适用提示和接管；已证实阻断按现有机制处理 |
| 免费消耗或支持失控 | 高消耗任务、人工投入超过可承担范围 | 明确试点额度/投入和退出，不静默失败、不擅自收费 |
| 成本失真 | usage/费率缺失、未知为零、失败不入账 | 标记不可完整计算，停止利润/SLA宣传并补核对 |
| 指标漂移 | 发起等于完成、下载等于付费、演示混入客户 | MET-01统一；保留历史口径，不重写历史成功率 |
| 发布循环 | 修改期间认证、多个writer共享树、反复全量跑 | 回现有冻结、工作树和分层验证规则，不新建证明阶段 |
| 外部依赖无人负责 | 政策、Provider、证书、账号持续缺失 | 具名登记和升级决定；保持相应NO_GO，不写无关代码 |
| 私有部署吞噬产品 | 大量无预算环境适配和持续运维 | 单独核算与合同责任；未成立则拒绝无边界交付 |
| 过早集成或平台化 | 无真实客户却铺连接器、多端或通用AI能力 | 只读决策，满足C类准入后选择一项 |
| 数据/权限事故 | 跨租户、服务密钥暴露、支持越权、静默覆盖 | 立即按既有安全与发布机制停止受影响操作，不以业务增长继续 |

路线调整以证据为基础，可选择继续、缩小某个后续迭代、调整市场假设或停止一项投入。但当前60资产正式交付不能被静默削减；改变已承诺基线需具名决定并更新权威记录。

## 十九、执行状态表与首个必要动作

### 19.1 初始状态

本表只管理持续开发工作包，不复制RC状态。初始`PROPOSED/BLOCKED`不表示能力全部缺失；执行前须核对复用。

| 工作包 | 初始状态 | 实际责任人 | 当前边界/下一必要输入 |
| --- | --- | --- | --- |
| GOV-01 | PROPOSED | 待指派 | 可只读形成经营决策，不授权客户操作 |
| GOV-02 | BLOCKED | 待指派 | 依赖GOV-01和后续版本范围 |
| ENTRY-01、ENTRY-02 | BLOCKED | 待指派 | R及对应产品/政策决定 |
| EXP-01、EXP-02、EXP-03 | BLOCKED | 待指派 | R、观测与真实摩擦证据 |
| QLT-01 | PROPOSED | 待指派 | 可只读核验，代码变更依赖R或当前缺陷机制 |
| QLT-02、QLT-03 | BLOCKED | 待指派 | 维护缺口/授权专业样本及预算 |
| MET-01 | PROPOSED | 待指派 | 可只读统一口径 |
| MET-02、MET-03 | BLOCKED | 待指派 | R、MET-01及合法业务记录 |
| VAL-01 | BLOCKED | 待指派 | 目标参与者、服务/研究授权、支持与预算 |
| COST-01、COST-02 | BLOCKED | 待指派 | R、成本规则及授权费率/账单 |
| OPS-01 | PROPOSED | 待指派 | 具体获准环境、人员与真实支持能力 |
| OPS-02 | BLOCKED | 待指派 | R、接管实证及成本关联 |
| COM-01、COM-02、COM-03、COM-04 | BLOCKED | 待指派 | 价值、成本、价格、政策及相应授权 |
| SEC-01 | PROPOSED | 待指派 | 具体变更设计到位后评审，不空泛扩展安全项目 |
| INT-01、INT-02 | BLOCKED | 待指派 | R、真实客户需求及供应商/数据授权 |
| ARC-01 | PROPOSED | 待指派 | 有热点证据才分析，不自动重构 |
| ARC-02、CONT-01 | BLOCKED | 待指派 | R及获批热点/内容需求 |

### 19.2 首个必要动作

**当前工程仍执行现有机器台账的唯一下一任务，不从本规划任意挑选新功能。**

开始下一次工作时：

1. 读仓库规则、本规划及当前RC控制计划/机器台账。
2. 核对台账更新时间、真实收据、候选、工作树和用户改动，不把本文件快照当实时状态。
3. 如果当前收口仍未正式结束，继续台账指定任务及已获批整改；只读经营准备可按允许范围进行。
4. 如果发布负责人已记录完成并更新基线，先完成GOV-01/GOV-02和必要任务卡，再实施后续增量。
5. 缺少授权、具名人员或外部材料时，只报告具体缺口和影响，不自动创建新的研发阶段。

### 19.3 后续汇报最小格式

- 任务ID及规划版本。
- 源码/候选身份和实际环境。
- 唯一交付物、完成/失败/阻断状态。
- 已做验证、证据位置及适用边界。
- 剩余阻断、具名owner、下一项必要动作。

不以新增文档数量、页面数量、测试累计次数或模型输出长度表示商业进度。

## 二十、依据与源码入口

### 20.1 权威与战略文件

- [仓库协作规则](../AGENTS.md)
- [README强制交付政策](../README.md)
- [当前冻结后执行控制总表](AI合同平台-后期上线任务规划与执行总表-2026-09-21.md)
- [当前RC机器台账](../docs/qa/multiscene-closeout-20260910/release-closeout-execution-register-20260921.json)
- [生产上线加速与开发效率整改](AI合同平台-生产上线加速与开发效率整改方案-2026-09-21.md)
- [多场景完整交付与开发收口](AI合同平台-多场景完整交付与开发收口方案-2026-09-10.md)
- [V2市场增长与公开入口](V2-market-growth-and-public-entry-optimization-2026-08-19.md)
- [系统性产品、市场与架构审查](V2-systemic-product-market-architecture-audit-and-roadmap-2026-08-22.md)
- [首次价值、Onboarding与市场入口实施报告](V2-P1-analytics-onboarding-market-entry-implementation-2026-08-23.md)
- [品牌方案V3.0](钰麒合同品牌方案设计%20V3.0.md)
- [V2重构方案](AI合同平台V2重构版开发方案-2026-06-22.md)
- [历史分层质量评测及撤销记录](AI合同平台-受控试点容量与分层质量评测报告-2026-08-26.md)
- [历史引用门禁整改报告](AI合同平台-AI受托法务复核与引用门禁整改报告-2026-08-26.md)

### 20.2 已核对的实现入口

- [Web公开首页](../yuqei-contract-platform/apps/contract-web/src/app/page.tsx)
- [Web注册能力与关闭分支](../yuqei-contract-platform/apps/contract-web/src/app/register/page.tsx)
- [Web产品事件与类型](../yuqei-contract-platform/apps/contract-web/src/lib/product-analytics.ts)
- [获客事件队列](../yuqei-contract-platform/apps/contract-web/src/lib/acquisition-queue.ts)
- [角色引导](../yuqei-contract-platform/apps/contract-web/src/lib/onboarding.ts)
- [起草旅程收据](../yuqei-contract-platform/apps/contract-web/src/lib/draft-journey-receipt.ts)
- [起草阶段耗时](../yuqei-contract-platform/apps/contract-web/src/lib/draft-journey-timing.ts)
- [业务产品分析实现](../yuqei-contract-platform/services/contract-api/src/yuqei_contract_api/product_analytics.py)
- [产品分析API与聚合权限](../yuqei-contract-platform/services/contract-api/src/yuqei_contract_api/api/product_analytics.py)
- [合同模板与生命周期](../yuqei-contract-platform/services/contract-api/src/yuqei_contract_api/contract_templates.py)
- [起草工作区和版本保护](../yuqei-contract-platform/services/contract-api/src/yuqei_contract_api/drafting_workspace.py)
- [模板试用与正式发布边界测试](../yuqei-contract-platform/services/contract-api/tests/test_template_release_boundary.py)
- [Provider与token成本估算](../yuqei-ai-platform/services/ai-platform-api/src/yuqei_ai_platform_api/providers.py)
- [AI运行配置与费率](../yuqei-ai-platform/services/ai-platform-api/src/yuqei_ai_platform_api/config.py)
- [当前发布包执行器](../yuqei-infra/deploy/release-package.py)

这些路径是制定时存在的定位入口，不保证未来不变。任务执行者必须重新核对实际文件、行为、版本和测试，不能照旧路径或本规划快照直接修改。

---

**本规划的完成目标**：把已有工程投入转化为可信、可复用、可核算的服务。达到一个工作包的退出条件就结束该工作包；新需求按准入和变更规则处理。规划不会因“还能优化”自动无限延长，也不以速度授权绕过租户隔离、事实完整性、专业责任和正式放行。